运营韧性与网络风险
FINMA第2023/1号通函
人工智能系统是机构信息和通信技术（ICT）的组成部分，其失灵或遭操纵属于操作风险。瑞士金融市场监管局（FINMA）于2022年12月发布的第2023/1号通函《操作风险与韧性——银行》已于2024年1月1日生效。该通函吸纳了巴塞尔银行监管委员会于2021年3月发布的操作风险与操作韧性原则。通函设有专门章节，涉及ICT风险、网络风险和关键数据的管理，并取代了此前经FINMA认可的瑞士银行家协会关于业务连续性的建议。有关操作韧性的要求设有过渡期，该过渡期已于2026年1月1日结束。1
操作韧性是指银行必须能够在严重中断期间，于既定容忍度范围内持续履行其关键职能。一旦人工智能工具被用于支付监控或客户准入等关键流程，机构就必须能够在模型失灵、产生不可靠结果或因提供商发生故障而无法使用时，继续运行这些流程。在实践中，这需要备用程序、有书面记录的人工流程以及对中断情景的测试。通函引入的“关键数据”类别同样影响人工智能项目。若以关键数据训练或运行模型，机构须将通函关于保密性、完整性和可用性的控制措施适用于人工智能环境。
向FINMA报告网络事件
网络风险与此密切相关。根据《金融市场监管法》（FINMASA）第29条第2款，FINMA要求受监管机构报告针对关键职能的重大网络攻击。第05/2020号监管通告确立了两阶段程序：在24小时内作出初步通知，在72小时内提交完整报告。第03/2024号监管通告总结了FINMA在网络监管中的观察，澄清了此前的通告，并要求开展基于情景的网络演练。FINMA将网络风险列为瑞士金融中心的首要风险之一。2
人工智能从两个方向改变着威胁格局。攻击者利用生成式模型制作令人信服的网络钓鱼信息、伪造文件以及模仿高管或客户的合成语音。如前所述，瑞士银行家协会将深度伪造和虚假高管通讯列为生成式人工智能的主要风险。部署人工智能系统的机构也会形成新的攻击点，例如针对聊天机器人的提示注入、训练数据投毒以及模型窃取。第三节所述Check Point收购苏黎世公司Lakera一事表明，人工智能系统的防御本身已成为一个专门领域。
关键基础设施向NCSC报告的义务
自2025年4月1日起，根据经修订的《信息安全法》（ISG）和《网络安全条例》，关键基础设施运营者须在发现网络攻击后24小时内向国家网络安全中心（NCSC）报告。该义务涵盖危及基础设施运行、导致信息遭操纵或泄露，或涉及勒索、威胁或胁迫的攻击。初步报告可在14天内补充完整。对未履行报告义务的制裁，只有在2025年10月1日结束的过渡期届满后方可施加。3其法律依据为《信息安全法》第74a条及以下各条。4
《信息安全法》将银行、保险公司和金融市场基础设施，与能源供应商、运输公司和公共行政机关一并列入负有报告义务的组织。5对受监管的金融机构而言，这形成了两条平行的报告路线：一条通向FINMA，另一条通向NCSC。尽管两项义务在内容上相互重叠，但其法律依据不同，目的也不同。审慎监管机构评估的是机构的韧性，而NCSC则构建全国性的威胁态势。对于与人工智能相关的事件，例如针对面向客户的聊天机器人的成功攻击导致客户数据泄露，机构可能还须根据《联邦数据保护法》（FADP）关于数据泄露的规定，通知联邦数据保护和信息公开专员（FDPIC）。在这种情况下，机构还须同时与客户处理银行保密问题。
注释
- FINMA，“FINMA publishes Circular ‘Operational risks and resilience – banks’”，2022年12月13日，https://www.finma.ch/en/news/2022/12/20221213-mm-anh-rs-op-risks/。↩
- FINMA，“New cyber supervisory approach and guidance”（网络风险专题），https://www.finma.ch/en/documentation/dossier/dossier-cyberrisiken/new-cyber-supervisory-approach-and-guidance/（2026年9月访问）。↩
- 国家网络安全中心，“Obligation to report cyberattacks on critical infrastructure comes into force on 1 April”，https://www.bacs.admin.ch/en/25-mp2-en（2026年9月访问）。↩
- 国家网络安全中心，“Legal basis for the reporting obligation”，https://www.bacs.admin.ch/en/legal-basis-for-the-reporting-obligation（2026年9月访问）。↩
- Célian Hirsch，“Die neue Meldepflicht wird konkreter”，cdbf.ch，2024年5月27日，https://cdbf.ch/de/1351/（“Zu diesen Infrastrukturen gehören insbesondere Banken, Versicherungen, Finanzmarktinfrastrukturen oder auch Cloud-Anbieter (Art. 74b ISG).”）；国家网络安全中心，“Legal basis for the reporting obligation”（见上文），关于能源供应商、运输公司以及州和市镇行政机关。↩
仅供一般参考。本文不构成法律或税务意见，不能替代针对个案的咨询，亦不建立律师与客户之间的委托关系。本文反映截至 十月 2026 的法律状况。